Un hacker può compromettere il sistema se può rubare uno dei fattori della 2FA?

I read an article saying that smartcards used as a 2FA is still susceptible to attacks such as MITM attack?

Interpreto le parti pertinenti di questo articolo as segue:

1. Un hacker può rispecchiare il sito Web originale che richiede la password e il token 2FA e inoltra semplicemente le credenziali che hai inserito nel sito originale, quindi esegui tutto ciò che desidera con la sessione attualmente connessa.
2. Un'autenticazione 2FA può essere eseguita solo contro il sistema locale e quindi il risultato (sotto forma di un token di autenticazione) viene utilizzato per l'autenticazione su un sistema remoto, quindi questo token potrebbe essere rubato.

Per affrontare il primo problema: questo è vero se la 2FA è solo una specie di token che inserisci. Se invece la smartcard ha un certificato client che viene utilizzato per l'autenticazione reciproca all'interno di una connessione TLS, questo non può essere rubato durante la connessione a un sito Web falso, né l'autenticazione può essere inoltrata al sito originale poiché l'utente malintenzionato non ha accesso al chiave privata memorizzata sulla smartcard.

E per il secondo problema: se l'autenticazione completa viene eseguita solo sulla macchina locale e quindi la macchina locale fornisce un'autenticazione contro la macchina remota, allora questa macchina remota non può ovviamente verificare se 2FA è valida e deve semplicemente fidarsi del macchina locale. Quindi la domanda non è solo come autenticarsi ma anche contro chi si autentica: una macchina locale o un sistema remoto. Naturalmente, dal momento che nessuna informazione 2FA viene inviata al sistema remoto, in primo luogo non è stato eseguito alcun MITM di 2FA. E sì, un hacker potrebbe intercettare il token di autenticazione a meno che il trasferimento del token sia protetto contro MITM, ad esempio all'interno di una connessione TLS con autenticazione reciproca tra le macchine.

In altre parole: le smartcard non sono influenzate da MITM. Ma potrebbero essere usati in un modo che rende ancora possibile il MITM o che fa ignorare il secondo faktor. Tuttavia, l'utilizzo di smart card per l'autenticazione reciproca all'interno di una connessione TLS è considerato sicuro anche se il sito Web a cui ci si è connessi non era quello corretto.

Le smartcard sono la più sicura delle opzioni comuni per quanto ne so. E se solo la password o solo la smardcard è compromessa dall'hacker, il sistema è sicuro. Entrambi sono necessari per l'autenticazione.

Ciò che questo articolo sta cercando di sottolineare è che il 2FA come concetto ferma solo alcuni tipi di attacchi, ma non impedisce ogni tipo di attacco. Inoltre, 2FA deve ancora essere implementato, il che lascia gli stessi problemi di qualsiasi altro software di sicurezza. L'implementazione potrebbe essere mal progettata o avere bug, che non hanno nulla a che fare con la stessa 2FA. È come se RSA fosse sicuro, ma è vulnerabile a un cuore spalancato. RSA è sicuro, ma solo perché lo stai utilizzando non significa che non ci sia un altro problema.

Ecco un elenco incompleto e rapido di esempi di ciò che 2FA non ti protegge da:

• MITM: un utente malintenzionato che ascolta la linea e intercetta la connessione. SSL dovrebbe essere usato per prevenire questo, 2FA non lo fa.
• Sito Web fasullo - un utente malintenzionato che crea un sito con lo stesso aspetto e induce l'utente a collegarsi ad esso, quindi a inoltrare le credenziali (sia smartcard che password) al sito reale. L'attaccante può attaccare solo in questo momento mentre con la password, potrebbe salvarlo per dopo.
• Compromissione del server - 2FA non aiuta affatto se il tuo server sottostante viene compromesso, ad esempio con un bug come hartble come è stato menzionato.
• Attacco fisico: 2FA non fa quasi nulla per impedire a un utente malintenzionato di accedere fisicamente alla macchina.
• Attacco al metodo di recupero - Come resettare passwod / smartcard per posta. Se esiste una tale opzione di recupero, può essere spesso abusata. Questo vale sia per quelli automatici che per quelli manuali realizzati da persone (ingegneria sociale).
• Social engineering su un amministratore - Un utente malintenzionato può tentare di convincere un amministratore che ha perso la sua smartcard e di averne bisogno di resettare o disabilitare per accedere.

In conclusione, 2FA è utile ma deve essere usato insieme ad altre misure di sicurezza. Non è una soluzione unica per tutti i tuoi problemi. Raccomando caldamente di avere un professionista per progettare la tua strategia di sicurezza.

Tieni presente che alcuni di questi potrebbero essere prevenuti dai design avanzati di 2FA ma non da quelli comuni.